Hakowanie bankomatów jest tradycją corocznej konferencji poświęconej bezpieczeństwu Defcon w Las Vegas. Odblokowywanie ich za pomocą technik włamywania się do sejfów, konfigurowanie ich w celu kradzieży danych osobowych i kodów PIN użytkowników, tworzenie i udoskonalanie złośliwego oprogramowania do bankomatów oraz, oczywiście, hakowanie ich w celu wyplucia całej gotówki. Wiele z tych projektów dotyczyło tak zwanych bankomatów detalicznych, wolnostojących urządzeń, takich jak te, które można znaleźć na stacji benzynowej lub w barze. Jednak w piątek niezależny badacz Matt Burch przedstawił ustalenia dotyczące bankomatów „finansowych” lub „korporacyjnych” używanych w bankach i innych dużych instytucjach.
Burch demonstruje sześć luk w szeroko stosowanym rozwiązaniu bezpieczeństwa firmy Diebold Nixdorf, producenta bankomatów, znanym jako Vynamic Security Suite (VSS). Luki, które według firmy zostały załatane, mogą zostać wykorzystane przez osoby atakujące w celu ominięcia szyfrowania dysku twardego bankomatu i przejęcia pełnej kontroli nad maszyną. Chociaż dostępne są poprawki błędów, Burch ostrzega, że w praktyce łatki mogą nie zostać szeroko rozpowszechnione, co może narazić niektóre bankomaty i systemy wypłat.
„Vynamic Security Suite ma wiele funkcji — zapewnia ochronę punktów końcowych, filtrowanie USB, delegowanie dostępu i wiele więcej” – Burch mówi WIRED. „Ale konkretną powierzchnią ataku, z której korzystam, jest moduł szyfrujący dysk twardy. Jest też sześć luk, ponieważ zidentyfikowałbym ścieżkę i pliki do wykorzystania, a następnie zgłosiłbym to firmie Diebold, a oni załataliby ten problem, a następnie znalazłbym inny sposób na osiągnięcie tego samego rezultatu. Są to stosunkowo proste ataki.”
Wszystkie luki znalezione przez Burcha dotyczą funkcjonalności VSS umożliwiającej włączenie szyfrowania dysków twardych ATM. Burch twierdzi, że większość producentów bankomatów korzysta w tym celu z szyfrowania BitLlocker Windows firmy Microsoft, ale VSS firmy Diebold Nixdorf korzysta z integracji innej firmy w celu sprawdzenia integralności. System jest skonfigurowany w konfiguracji podwójnego rozruchu, która obejmuje partycje Linux i Windows. Przed uruchomieniem systemu operacyjnego partycja Linux sprawdza integralność podpisu, aby sprawdzić, czy bankomat nie został naruszony, a następnie uruchamia system Windows w celu normalnego działania.
„Problem polega na tym, że aby to wszystko zrobić, odszyfrowują system, co otwiera możliwości” – mówi Burch. „Podstawową wadą, którą wykorzystuję, jest to, że partycja Linux nie została zaszyfrowana.”
Burch odkrył, że może manipulować lokalizacją krytycznych plików sprawdzających poprawność systemu, aby przekierować wykonanie kodu; innymi słowy, przyznać sobie kontrolę nad bankomatem.
Rzecznik Diebold Nixdorf, Michael Jacobsen, mówi WIRED, że Burch po raz pierwszy ujawnił im ustalenia w 2022 r. i że firma skontaktowała się z Burchem w sprawie jego rozmowy w sprawie Defcon. Firma twierdzi, że wszystkie luki w zabezpieczeniach prezentowane przez Burcha zostały usunięte za pomocą poprawek w 2022 r. Burch zauważa jednak, że kiedy w ciągu ostatnich kilku lat zwracał się do firmy z nowymi wersjami luk, z jego wiedzy wynika, że firma nadal aby usunąć niektóre z ustaleń za pomocą poprawek w 2023 r. Burch dodaje, że jego zdaniem Diebold Nixdorf zaradził lukom na bardziej podstawowym poziomie w kwietniu, wprowadzając wersję VSS 4.4, która szyfruje partycję Linuksa.
